แจ้งเตือน Dependabot มากเกินไป? ลองตามเส้นทางไปยังฟังก์ชันที่มีช่องโหว่
ชื่อแพ็กเกจเดียวกันไม่ได้หมายถึงความเร่งด่วนเท่ากัน บริการหนึ่งอาจเรียกฟังก์ชันที่มีช่องโหว่ขณะรับคำขอ แต่อีกบริการติดตั้งไว้โดยไม่ใช้ฟังก์ชันนั้น การวิเคราะห์ reachability ของ Dependabot ที่เปิดตัวอย่างสาธารณะเมื่อ 28 ตุลาคม 2026 ช่วยให้เห็นความต่างนี้
จากแพ็กเกจสู่เส้นทางเรียกใช้
Dependabot ระบุเวอร์ชันที่มีช่องโหว่ ส่วนการวิเคราะห์ใหม่หาเส้นทางจากโค้ดในรีโพซิทอรีไปยังฟังก์ชันที่ได้รับผลกระทบ เวิร์กโฟลว์ Actions ที่ GitHub ดูแลใช้ CodeQL สร้างกราฟและเทียบกับข้อมูล advisory ที่ผ่านการจัดเตรียม
โค้ดสมมติของเราเชื่อม API คำสั่งซื้อผ่าน helper ไปยัง package.parseUnsafe อีกทางเรียกเพียง package.formatLabel จึงไม่ถึงเป้าหมายในกราฟนี้ นี่ไม่ใช่ช่องโหว่จริงหรือผลจากตัววิเคราะห์ GitHub แต่แสดงว่ารายชื่อแพ็กเกจอย่างเดียวยังไม่พอ
ผลสี่แบบมีความหมายต่างกัน
Reachable หมายถึงพบอย่างน้อยหนึ่งเส้นทาง ไม่ได้พิสูจน์ว่าโจมตีสำเร็จได้ ต้องดูอินพุตภายนอกและการใช้จริงด้วย ตัวอย่างเส้นทางสูงสุดห้าเส้นทางไม่ใช่รายการทั้งหมด
Potentially reachable คือยังตัดความเป็นไปได้ของการเรียกไม่ได้ จึงควรจัดลำดับร่วมกับ Reachable ส่วน Unreachable คือวิเคราะห์จบแต่ไม่พบเส้นทาง และ Reachability unavailable คือไม่สามารถให้ผลได้ สองอย่างหลังไม่เหมือนกัน และไม่มีผลใดปิดหรือยกเลิกแจ้งเตือนอัตโนมัติ
แก้โค้ดแล้วผลไม่เปลี่ยนทันที
เปิดใช้แล้วเริ่มสแกนครั้งแรก จากนั้นทุก 24 ชั่วโมงตราบใดที่ยังมีแจ้งเตือนเปิดอยู่ การ push ไม่เริ่มสแกนทันที และช่วงตัวอย่างยังสั่งสแกนตามต้องการไม่ได้
แม้ลบการเรียกวันนี้ Reachable เก่าอาจยังแสดงอยู่จนสแกนใหม่เสร็จ หรือเพิ่มการเรียกแล้วก็ยังเห็น Unreachable เก่าชั่วคราว ภาพที่สองเป็นผลรัน Python จริงกับกราฟสมมติของเรา การแก้จริงควรเทียบเวลาสแกนที่เสร็จกับโค้ดที่ถูกตรวจ
รีโพซิทอรีที่รองรับ
ตัวอย่างใช้ได้บน GitHub Enterprise Cloud รวมถึง data residency ต้องเป็น JavaScript หรือ TypeScript มี lockfile ของ npm, Yarn หรือ pnpm และเปิด Dependabot alerts ไม่ต้องมีไลเซนส์ GitHub Code Security สแกนฟรีและไม่ใช้เวลานาที Actions ที่คิดเงิน ยังไม่รองรับ runner ที่โฮสต์เอง
ฟังก์ชันปิดเป็นค่าเริ่มต้น เปิดใน Settings > Advanced Security หรือการตั้งค่าความปลอดภัยแบบกำหนดเองได้ monorepo ใหญ่บางแห่งอาจชนขีดจำกัดสามชั่วโมงหรือทรัพยากร ต้องดูความรุนแรง EPSS และการเปิดเผยในระบบจริงด้วย ประโยชน์คือมีหลักฐานมากขึ้นในการเลือกแก้แจ้งเตือนก่อนหลัง